Senior Threat Detection Engineer

Название: Старший инженер по обнаружению угроз Компания: Cribl Местоположение: США - Калифорния / Удаленно - США

Компенсация (Диапазон базовой заработной платы): 108 000 – 169 000 долларов США в год

Присоединяйтесь к компании, которая создает инфраструктуру телеметрии для эпохи ИИ. В Cribl мы сотрудничаем с ИТ-отделами и отделами безопасности многих крупнейших предприятий мира, включая половину компаний из списка Fortune 100, чтобы устранить разрыв между амбициями в области ИИ и реальностью инфраструктуры. Как платформа ИИ для телеметрии, мы предоставляем клиентам возможность выбора, контроля и гибкости для управления и анализа телеметрии как для людей, так и для агентов, чтобы они могли создавать следующее. Мы являемся одной из самых быстрорастущих частных компаний и ведущим игроком на огромном, быстро меняющемся рынке. Имея глобальный штат сотрудников, мы работаем в режиме удаленного доступа и основываемся на простой идее: программное обеспечение — это бизнес, ориентированный на людей. Cribl — это место, где любознательные, готовые к сотрудничеству люди могут выполнять свою лучшую работу, быстро расти и быть собой. Почему вам понравится эта роль Cribl создает инфраструктуру телеметрии для некоторых из крупнейших команд по безопасности в мире. Теперь мы ищем кого-то, кто защитит сам Cribl. Вы присоединитесь к внутренней команде безопасности Cribl, Team Alpine, для управления обнаружением как кодом. Наша команда управляет конвейером обнаружения как кодом, где правила хранятся в Git, тестируются в CI и автоматически развертываются в нашей SIEM. Агенты ИИ следят за пробелами в охвате и помогают проверять каждое изменение. Это практическая старшая роль, охватывающая весь жизненный цикл обнаружения. Вы будете выявлять угрозы, для которых еще никто не написал правило, превращать то, что вы найдете, в обнаружения и поддерживать работоспособность конвейеров журналов за этими обнаружениями. В течение первых [6–12] месяцев вы также будете ключевой частью нашего графика реагирования на инциденты, пока мы развиваем эту функцию. Вы будете руководить расследованиями, и полученные знания будут напрямую использоваться для улучшения обнаружений. Если вы хотите, чтобы ваша работа быстро появлялась в продакшене, и вам нравится владеть данными, а также правилами, эта роль для вас. Вы будете тесно сотрудничать с командами Product Security, IT и Legal, а также подчиняться Sr. Director, Security Engineering and Operations при CISO. Как активный член нашей команды, вы будете… Разработка обнаружений Разрабатывать, создавать, тестировать и настраивать обнаружения как код (KQL) с помощью рабочего процесса GitOps: выпуск, запрос на слияние, модульное и ретроспективное тестирование, а затем автоматическое развертывание Сопоставлять обнаружения с MITRE ATT&CK, находить пробелы в охвате и решать, куда инвестировать дальше, основываясь на нашей модели угроз Просматривать новые общедоступные и сторонние выпуски правил, такие как Sigma, и решать, какие из них принять, адаптировать или пропустить Сокращать количество ложных срабатываний, настраивая, выводя из эксплуатации правила, которые больше не оправдывают своего места, и отслеживая метрики качества обнаружений Поиск угроз Планировать и проводить основанные на гипотезах поиски данных телеметрии в облачных средах, SaaS, системах идентификации, конечных точках и корпоративной инфраструктуре Использовать эмуляцию злоумышленников для генерации тестовых событий для обнаружений, которые пока ничего не фиксируют Превращать результаты поиска угроз в надежные обнаружения, документацию и элементы бэклога Реагирование на инциденты (первые [6–12] месяцев) Участвовать в графике реагирования на инциденты: триаж, оценка масштаба, сдерживание и расследование инцидентов безопасности от первого оповещения до закрытия Проводить ретроспективы и использовать полученные уроки для создания новых обнаружений, обновлений плейбуков и исправления пробелов в наблюдаемости Писать и поддерживать руководства, чтобы другие члены команды могли последовательно реагировать Инфраструктура обнаружений и конвейеры журналов Помогать в обеспечении работоспособности потока журналов безопасности: подключать новые источники, поддерживать синтаксический анализ и нормализацию, а также отслеживать потерянные, задержанные или некорректные данные Помогать в создании и поддержке конвейеров данных с помощью Cribl Stream для маршрутизации, обогащения и сокращения телеметрии перед ее попаданием в SIEM Поддерживать CI/CD и автоматизацию, лежащую в основе программы обнаружения, включая GitHub Actions, интеграции с API SIEM, а также анализ пробелов с помощью ИИ и проверку PR В рамках команды Работать самостоятельно, а также разрабатывать процессы, стандарты и инструменты, которые помогают другим работать эффективно Наставлять коллег посредством проверки кода, совместной работы и четкой документации Сотрудничать с ИТ, инфраструктурой, разработкой и GRC для устранения пробелов в наблюдаемости и улучшения охвата обнаружения Эта должность потребует дежурств, нахождения на связи или работы в нерабочее время Если у вас есть то, что нам нужно — мы вас хотим [5+] лет опыта работы в области безопасности, со значительным практическим опытом в разработке обнаружений, поиске угроз или реагировании на инциденты Опыт написания и поддержки обнаружений как кода в современной SIEM Отличные навыки Python и уверенное владение рабочими процессами на основе Git, проверкой кода и CI/CD Отличное знание KQL для написания запросов обнаружения Рабочее знание MITRE ATT&CK и умение использовать его для анализа охвата, а не просто для маркировки Опыт расследования инцидентов в облачных средах (AWS, GCP и/или Azure), SaaS и поставщиках идентификации Практический опыт работы с конвейерами журналов: получение данных, их разбор и исправление при возникновении проблем Способность отличать реальный сигнал от шума и знать, когда следует эскалировать проблему Четкое письменное изложение как для технической, так и для нетехнической аудитории: сводки об инцидентах, руководства, документация по обнаружениям Использование ИИ в повседневной инженерной работе, с конкретными примерами того, как он изменил ваш подход к созданию, тестированию или расследованию Бонус: опыт работы с Cribl Stream или другими инструментами конвейеров телеметрии Бонус: опыт работы с правилами Sigma, эмуляцией злоумышленников (Atomic Red Team, Caldera или аналогичными) или пурпурным тестированием Бонус: опыт создания агентурных или управляемых ИИ рабочих процессов для операций безопасности Бонус: сертификаты, такие как GCIH, GCDA, или эквивалентный опыт Заработная плата за эту должность зависит от географического местоположения и будет основана на знаниях, навыках и опыте кандидата, связанных с работой. Помимо базовой заработной платы, для отделов продаж и некоторых смежных с продажами должностей сотрудники имеют право на получение стимулирующих выплат (комиссий). Для всех остальных должностей сотрудники имеют право участвовать в корпоративной бонусной программе Cribl. Помимо конкурентоспособной заработной платы, Cribl также предлагает щедрый пакет льгот, который включает медицинское, стоматологическое, офтальмологическое страхование, страхование от краткосрочной нетрудоспособности и страхование жизни, оплачиваемые праздники и оплачиваемый отпуск, льготы на лечение бесплодия, пенсионный план 401(k) и акции. Диапазон базовой заработной платы $108 000 — $169 000 USD Будьте собой Разнообразие стимулирует инновации, позволяет принимать лучшие решения для поддержки наших клиентов и вдохновляет на позитивные изменения. Мы строим культуру, в которой ценим и приветствуем различия, и работаем вместе, чтобы раскрыть лучшее в каждом из нас. Все квалифицированные кандидаты получат равные возможности трудоустройства независимо от расы, цвета кожи, религии, пола, сексуальной ориентации, гендерной идентичности, национального происхождения или любых других применимых законных защищенных характеристик в месте, куда подает заявление кандидат. Хотите присоединиться к команде Cribl? Узнайте больше о самых умных, забавных и увлеченных козлах, которых вы когда-либо встречали, на cribl.io/about-us.